Pesquisadores da Huntress, empresa especializada em resposta a incidentes, descobriram um novo malware para macOS que rouba criptomoedas, senhas de navegadores e dados do Keychain da Apple. A infecção começa com uma técnica de engenharia social chamada ClickFix, em que a vítima é induzida a copiar e colar um comando no Terminal do Mac, sem perceber que está baixando e executando um programa malicioso.
O caso chamou atenção porque, pela primeira vez, os pesquisadores analisaram um malware capaz de drenar carteiras de criptomoedas de forma parcial. Em vez de esvaziar toda a conta, o programa pode ser configurado para desviar apenas uma porcentagem dos fundos, tornando o roubo menos perceptível para a vítima.
Como funciona a infecção pelo ClickFix
A campanha usa uma janela pop-up que se passa por um CAPTCHA — aquele desafio que pede para provar que você não é um robô. A tela instrui o usuário a copiar uma longa sequência de texto e colá-la no aplicativo Terminal do Mac. Na prática, o comando baixa e executa a primeira etapa do ataque.
Segundo a Huntress, o comando puxa um script Bash que atua como “profiler” e carregador de malware. Esse script coleta informações do sistema, como CPU e memória, identifica a arquitetura do processador e baixa um payload Mach-O — o formato executável nativo do macOS — compatível com o chip da vítima. Foram identificadas duas versões do stealers: uma para processadores ARM64, usados pelos chips Apple M2, e outra para arquiteturas 64-bit não ARM.
O que o malware rouba
O malware, escrito em Go e ofuscado com uma ferramenta chamada Go Garbler, vasculha o disco em busca de arquivos que contenham credenciais armazenadas. Entre os alvos estão os bancos de senhas dos navegadores, o Keychain da Apple e credenciais em cache nos cookies.
A novidade mais relevante, porém, está na função de roubo de criptomoedas. O malware contém código capaz de interceptar e redirecionar transações envolvendo Bitcoin, Litecoin, Dogecoin, Monero, Ethereum e XRP (Ripple). Uma função chamada DRAIN consulta a blockchain para verificar se uma carteira possui saldo e, se houver fundos, desvia parte ou todo o valor para carteiras controladas pelos criminosos.
A Huntress destaca que o malware tem funções separadas para calcular quanto vale 1% do conteúdo de uma carteira, dependendo do tipo de criptomoeda. Isso permite que o atacante “raspe” pequenas quantias repetidamente — um desvio que pode passar despercebido por mais tempo.
Infraestrutura ligada a provedor sancionado
Todas as etapas do ataque — carregador, hospedagem do payload e servidor de comando e controle (C2) — estão ligadas ao Aeza Group, um provedor de hospedagem russo conhecido como “bulletproof hosting” (hospedagem à prova de balas), usado por grupos de cibercrime e ransomware. A empresa foi sancionada pelo governo dos Estados Unidos em julho de 2025, e as sanções foram estendidas pelo Reino Unido e pela Austrália em novembro do mesmo ano.
Como se proteger
A dica mais importante é simples: nunca cole comandos no Terminal que você não entenda, mesmo que a instrução venha de uma janela que pareça legítima ou de uma página que sugira corrigir um problema. Empresas legítimas não pedem que usuários executem comandos desconhecidos para “consertar” computadores ou baixar softwares.
Além disso, manter o macOS atualizado, usar senhas fortes e ativar a autenticação de dois fatores nas contas mais importantes reduz o impacto caso o dispositivo seja comprometido. Para quem guarda criptomoedas, a recomendação dos especialistas é usar carteiras frias (hardware wallets) e evitar armazenar chaves privadas no próprio computador.
Continue acompanhando as novidades de tecnologia e segurança no nosso canal de Últimas Notícias e veja também como pesquisadores usaram inteligência artificial para criar vírus inéditos.
Os detalhes técnicos completos da análise estão no relatório da Huntress.